Worum geht es?
Die meisten von euch, die eine Umbrel Node betreiben, kennen die Tailscale-App aus dem Umbrel App Store. Damit kommt ihr von überall auf der Welt auf eure Node – ohne Portfreigabe, ohne DynDNS, ohne Gefrickel.
Was die wenigsten wissen: Tailscale kann viel mehr. Mit einer einzigen zusätzlichen Einstellung wird eure Node zum Tor in euer komplettes Heimnetzwerk. Danach erreicht ihr von unterwegs nicht nur die Node selbst, sondern jedes Gerät bei euch zu Hause – unter genau der IP-Adresse, die ihr auch daheim benutzt.
Ich bin darauf gestoßen, weil ich meine Bitaxe-Miner aus der Ferne administrieren wollte: Pool wechseln, Frequenz anpassen, Neustart erzwingen. Das funktioniert jetzt vom Handy aus, egal wo ich gerade bin. Und nicht nur das – auch das Router-Interface, der Drucker und jedes andere Gerät ist plötzlich von unterwegs erreichbar.
Das Ganze nennt sich Subnet Routing. Klingt technisch, ist aber in wenigen Minuten erledigt.
Warum ist das so praktisch?
Der Clou: Eure Miner, der Router oder der Drucker können selbst kein Tailscale installieren. Ein Bitaxe läuft auf einem ESP32-Mikrocontroller – da gibt es keine VPN-App. Bisher hieß das: Zugriff nur von zu Hause.
Mit Subnet Routing übernimmt eure Umbrel Node die Rolle eines Vermittlers. Sie hängt ohnehin 24/7 im Heimnetz und ist über Tailscale von außen erreichbar. Ihr sagt Tailscale nun: „Hey, diese Node kennt nicht nur sich selbst, sondern das ganze Netzwerk 192.168.x.x – schick Anfragen dorthin einfach über sie."
Von außen betrachtet fühlt es sich an, als wärt ihr zu Hause im WLAN. Ihr tippt zum Beispiel 192.168.0.80 in den Browser und das AxeOS-Interface eures Bitaxe erscheint. Kein Portforwarding, keine offenen Ports im Internet, alles Ende-zu-Ende verschlüsselt.
Voraussetzungen
- Eine laufende Umbrel Node (Raspberry Pi, Umbrel Home, Umbrel Pro oder Eigenbau)
- Ein kostenloser Tailscale-Account (der Gratis-Tarif reicht dicke aus)
- Ein Smartphone oder Laptop, mit dem ihr von unterwegs zugreifen wollt
- 10 Minuten Zeit
Schritt 1: Tailscale auf der Node installieren
Im Umbrel Dashboard den App Store öffnen, nach Tailscale suchen, installieren und öffnen. Die App zeigt euch einen Link bzw. Code, mit dem ihr die Node mit eurem Tailscale-Account verknüpft. Falls ihr noch keinen Account habt, legt ihr ihn dabei direkt an.
Nach dem Verknüpfen taucht eure Node in der Tailscale-Weboberfläche unter Machines auf und bekommt eine eigene Tailscale-IP-Adresse (beginnt immer mit 100.x.x.x).
Schritt 2: Tailscale auf euren Endgeräten installieren
Auf Handy und/oder Laptop die Tailscale-App installieren (App Store, Play Store, tailscale.com) und mit demselben Account anmelden. Beide Geräte erscheinen jetzt ebenfalls unter Machines.
Kurzer Test: Tailscale auf dem Handy aktivieren, Mobilfunk statt WLAN nutzen und die Tailscale-IP eurer Node ( 100.x.x.x) im Browser aufrufen. Das Umbrel Dashboard sollte laden. Wenn das klappt, steht die Basis.
Schritt 3: Feste IP-Adressen im Router vergeben
Damit eure Geräte nicht irgendwann unter einer anderen Adresse auftauchen, solltet ihr ihnen feste IPs zuweisen. Im Router findet sich das meist unter „Heimnetz" → „Netzwerk" → jeweiliges Gerät bearbeiten → „Diesem Gerät immer die gleiche IPv4-Adresse zuweisen" (so heißt es bei der FRITZ!Box).
Macht das mindestens für eure Node und alle Geräte, die ihr aus der Ferne erreichen wollt. Notiert euch die Adressen.
Schritt 4: Euer Subnetz herausfinden
Ihr braucht gleich die Angabe eures Heimnetzes im sogenannten CIDR-Format. Das klingt schlimmer, als es ist – schaut einfach auf die IP-Adresse eines eurer Geräte:
| Eure Geräte haben Adressen wie… | Euer Subnetz lautet |
|---|---|
| 192.168.0.201 | 192.168.0.0/24 |
| 192.168.178.42 | 192.168.178.0/24 |
| 192.168.1.15 | 192.168.1.0/24 |
| 10.0.0.5 | 10.0.0.0/24 |
Regel: Die ersten drei Zahlenblöcke übernehmen, den letzten durch eine 0 ersetzen und /24 anhängen. Das /24 bedeutet nichts anderes als „alle 254 Adressen in diesem Bereich".
In den folgenden Beispielen nutze ich 192.168.0.0/24 – ersetzt das durch euren Wert.
Schritt 5: Subnet Routing auf der Node aktivieren
Jetzt der eigentliche Trick. Dafür braucht ihr Terminal-Zugriff auf eure Node. Zwei Wege führen zum Ziel:
Variante A – Terminal im Umbrel Dashboard (einfacher): Im Dashboard unter Settings → Advanced → Terminaldas Terminal öffnen. Wählt dort das umbrelOS-Terminal (nicht ein einzelner App-Container).
Variante B – per SSH vom eigenen Rechner: Im Dashboard unter Settings → Advanced zuerst SSH aktivieren, dann in der Kommandozeile eures Rechners:
ssh umbrel@192.168.0.201
(IP eurer Node einsetzen. Das Passwort ist euer Umbrel-Dashboard-Passwort. Bei der Eingabe erscheinen keine Sternchen – einfach tippen und Enter drücken.)
Dann in beiden Fällen dieser eine Befehl:
sudo docker exec tailscale_web_1 tailscale set --advertise-routes=192.168.0.0/24
Wenn nichts zurückkommt außer einer neuen Eingabezeile: perfekt, hat funktioniert. Keine Rückmeldung ist hier die gute Nachricht.
Falls eine Fehlermeldung erscheint: Prüft mit
sudo docker ps | grep tailscale, wie der Container bei euch tatsächlich heißt, und setzt diesen Namen im Befehl ein. Bei sehr alten Tailscale-Versionen funktioniert statttailscale setder Befehltailscale up --advertise-routes=192.168.0.0/24 --reset.
Schritt 6: Route im Tailscale-Account freigeben
Diesen Schritt vergessen die meisten – ohne ihn passiert gar nichts.
Eure Node hat die Route eben nur angeboten. Ihr müsst sie noch genehmigen:
- Öffnet login.tailscale.com/admin/machines
- Bei eurer Node erscheint jetzt ein farbiges Feld mit der Beschriftung „Subnets"
- Rechts auf die drei Punkte (⋯) klicken → „Edit route settings"
- Im Fenster den Haken bei
192.168.0.0/24setzen - Save klicken
Fertig.
Schritt 7: Testen
Nehmt euer Handy, deaktiviert das WLAN (damit ihr wirklich von außen kommt), schaltet Tailscale ein und ruft im Browser die lokale IP eures Miners auf, zum Beispiel:
http://192.168.0.80
Das AxeOS-Interface sollte laden, als säßet ihr auf dem Sofa. Genauso funktionieren jetzt Router-Oberfläche, NAS, Drucker oder was sonst noch in eurem Netz hängt.
Häufige Stolpersteine
Es tut sich nichts, obwohl der Befehl durchlief. Fast immer wurde Schritt 6 vergessen. Ohne Freigabe in der Admin-Konsole bleibt die Route inaktiv.
Es klappt auf dem Handy, aber nicht auf dem Laptop. Auf iOS und Android werden Subnet-Routen automatisch akzeptiert. Auf Windows, macOS und Linux muss das teils explizit aktiviert werden – unter Linux mit sudo tailscale up --accept-routes, in der Desktop-App über die Einstellung „Use Tailscale subnets" bzw. „Accept subnet routes".
Der Zugriff war da und ist plötzlich weg. Vermutlich hat das Zielgerät per DHCP eine neue IP bekommen. Siehe Schritt 3 – feste Adressen vergeben.
Ich habe zwei Nodes im selben Netz. Ihr könnt die gleiche Route auf beiden aktivieren. Tailscale bestimmt automatisch eine als aktiv und die andere als Reserve – fällt eine aus, übernimmt die andere nach etwa 15 Sekunden. Nettes Failover gratis dazu. Wichtig: Die Route muss auf beiden exakt gleich lauten, und aktiviert bei den Nodes selbst kein --accept-routes, sonst leitet die Reserve-Node ihren Traffic unnötig im Kreis.
Ein Wort zur Sicherheit
Die gute Nachricht zuerst: Ihr öffnet dabei keinen einzigen Port ins Internet. Der Zugang läuft ausschließlich über euer verschlüsseltes Tailnet, und von außen ist nichts davon sichtbar oder scanbar. Das ist deutlich sicherer als klassische Portfreigaben oder ein selbstgebautes VPN.
Trotzdem gilt: Wer Zugriff auf euren Tailscale-Account hat, hat damit Zugriff auf euer gesamtes Heimnetz – inklusive Router-Interface. Deshalb unbedingt:
- Zwei-Faktor-Authentifizierung für den Tailscale-Account aktivieren
- Ein starkes, einmaliges Passwort verwenden
- Regelmäßig unter Machines prüfen, welche Geräte eigentlich verbunden sind, und alte Einträge löschen
- Wer es feiner mag: Über Tailscale-ACLs lässt sich einschränken, welche eurer Geräte überhaupt ins Subnetz dürfen
Fazit
Ein Befehl, ein Häkchen – und euer komplettes Heimnetz ist von überall erreichbar. Ich finde das eine der unterschätztesten Funktionen im ganzen Umbrel-Ökosystem, und sie kostet nichts außer 10 Minuten.
Falls ihr Fragen habt oder es bei euch anders lief: Schreibt es gerne in die Kommentare, dann sammeln wir die Lösungen hier.